情報セキュリティインシデント対応方針

ストアレコード株式会社（以下「当社」）は、クラウドサービス「ストアレコード」（以下「本サービス」）の提供において、情報セキュリティインシデントが発生した場合に、被害を最小限に留め、速やかに復旧し、お客様および関係者へ適切に情報を提供するため、本方針を定めます。

本方針は、当社の「情報セキュリティ基本方針」を構成する文書です。

本方針は、本サービスおよび当社の業務に関して発生する情報セキュリティインシデントに適用され、当社のすべての役員・従業員（雇用形態を問わず、派遣社員および業務委託先の従事者を含みます）が対象となります。

本方針において「情報セキュリティインシデント」とは、次のような事象をいいます。

• お客様のデータまたは個人情報の外部への漏えい、漏えいのおそれ、および想定外の第三者による閲覧
• データの改ざん、滅失または毀損
• 本サービスまたは社内システムへの不正アクセス、および不正アクセスの試行
• マルウェアの感染
• 業務用端末、記録媒体または認証情報の紛失・盗難
• 本サービスの停止または著しい性能低下を伴う障害
• 上記のおそれがある事象、および本サービスの脆弱性の発見

当社は、検知した事象を次の区分に従って評価し、区分に応じた体制で対応します。

重大度の判定に迷う場合は、より高い区分として扱います。

当社の体制において複数の役割を兼任する場合も、上記の責任の所在を明確にしたうえで対応します。

1. 発見者からの第一報
   役員・従業員は、インシデントまたはその疑いを認識した場合、自らの判断で事象の重大性を評価することなく、直ちに統括責任者に報告します。報告の遅延は被害を拡大させるため、確証がない段階での報告を推奨し、結果として問題がなかった場合に報告者が不利益を受けることはありません。
2. 報告手段
   社内チャットの専用チャネル、または security@storerecord.co.jp により報告します。
3. 統括責任者による初動判断
   統括責任者は、報告を受けた後、速やかに重大度を判定し、対応体制を立ち上げます。
4. 記録の開始
   対応担当は、検知時刻、事象の内容、実施した対応、判断の根拠を時系列で記録します。

インシデントは次の手順で対応します。状況により順序が前後する場合があります。

1. 検知・受付 — 監視によるアラート、役員・従業員からの報告、お客様からの申告、または第三者からの脆弱性報告により事象を認識します。
2. 初動対応と重大度判定 — 事実関係を確認し、重大度を判定します。
3. 封じ込め — 被害の拡大を防ぐため、該当機能の停止、アカウントの無効化、通信の遮断等の措置を実施します。証拠となるログを保全します。
4. 影響範囲の特定 — 影響を受けたデータ、お客様、期間を特定します。
5. 通知 — 第8項に従い、お客様および関係者へ通知します。
6. 復旧 — 原因を除去し、サービスを正常な状態に戻します。データの復旧が必要な場合はバックアップから復元します。
7. 原因分析 — 技術的原因および管理上の原因を分析します。
8. 再発防止 — 恒久対策を立案・実施し、実施状況を確認します。必要に応じて規程および本方針を改定します。

8.1 お客様への通知

お客様のデータに関する漏えいまたはそのおそれを確認した場合、当社は、事実関係が判明した範囲で速やかに当該お客様へ通知します。全容の判明を待たず、判明している事項と調査中の事項を区別して第一報を行います。

8.2 連携先プラットフォーム事業者への通知

本サービスは、お客様の指示に基づき、ECプラットフォームその他の外部サービスとAPI連携を行っています。連携により取得したデータに関して漏えいまたはそのおそれを確認した場合、当社は、当該プラットフォーム事業者および影響を受ける出店者（セラー）へ、当該事業者が定める方法および期限に従って通知します。

通知は、各プラットフォーム事業者との契約または開発者規約に定められた期限を優先し、定めがない場合は、事実を確認した後速やかに行います。

8.3 個人情報保護委員会への報告および本人への通知

個人情報の漏えい等が発生し、個人情報の保護に関する法律に基づく報告義務が生じる場合、当社は次のとおり対応します。

• 速報: 事態を認識した後、速やかに個人情報保護委員会へ報告します。
• 確報: 事態を認識した日から30日以内（不正の目的をもって行われたおそれがある行為による場合は60日以内）に、同委員会へ報告します。
• 本人への通知: 対象となる本人に対し、事態の状況に応じて速やかに通知します。本人への通知が困難な場合は、公表その他の代替措置を講じます。

8.4 通知に含める事項

通知にあたっては、判明している範囲で次の事項を伝えます。

• 発生日時および認識した日時
• 事象の概要
• 影響を受けたデータの項目および範囲
• 原因（判明している場合）
• 実施済みの対応および今後の対応予定
• お客様に取っていただきたい対応（該当する場合）
• 問い合わせ窓口

8.5 対外公表

社会的影響が大きいと判断される場合、当社は、統括責任者の判断により、当社ウェブサイトにおいて事象および対応状況を公表します。

当社は、本サービスおよび当社ウェブサイトに関する脆弱性の報告を受け付けています。脆弱性を発見された場合は、下記までご連絡ください。

メールアドレス: security@storerecord.co.jp

報告いただいた内容は、受領後に内容を確認し、影響を評価したうえで必要な対応を行います。報告者の同意なく報告者の情報を第三者に開示することはありません。

なお、報告に際して、他のお客様のデータへのアクセス、サービスの可用性を損なう行為、および当社の許諾を得ない侵入試験はお控えください。

• 対応が完了したインシデントについて、経緯、原因、対応内容および再発防止策を記録し、保管します。
• 重大と判定したインシデントについては、対応の振り返りを実施し、本方針および関連規程の改善につなげます。

当社は、本方針に定める体制および手順が有効に機能することを確認するため、インシデント対応の訓練を実施する体制を整備します。